OPNsense core: Log-Fälschung über CRLF im Login-Benutzernamen ermöglicht Umgehung sshlockout
Zusammenfassung
Das WebGUI-Login von OPNsense entfernt im Benutzernamenfeld keine Carriage-Return- und Line-Feed-Zeichen. Ein nicht authentifizierter Angreifer mit Netzwerkzugang zur Login-Seite kann gefälschte Authentifizierungsereignisse in die Lockout-Verarbeitung einschleusen. Dadurch lassen sich beliebige IP-Adressen in der PF-Tabelle sshlockout sperren, inklusive administrativer, DNS- oder Gateway-Adressen, oder der eigene Brute-Force-Zähler zurücksetzen.
Betroffen
- OPNsense core vor 26.1.11
- Gemäss Herstellerhinweis GHSA-2v2x-m4j7-76pv auch 26.4 bis 26.4.1 (behoben in 26.4.1p1)
Behoben in
- 26.1.11
- 26.4.1p1 (gemäss Herstellerhinweis)
- Unbekannt für 26.7.x: keine behobene Version im Herstellerhinweis bestätigt
Umgehung
- Unbekannt. Kein vom Hersteller veröffentlichter Workaround gefunden.
- WebGUI-Zugriff bis zur Behebung auf Management-Netze beschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no.
- Zum Zeitpunkt der Recherche sind kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Auf OPNsense 26.1.11 oder neuer aktualisieren beziehungsweise auf eine behobene 26.4.x- oder 26.7.x-Version; der Zweig 26.1 wird nicht mehr sicherheitsunterstützt, daher ist ein Upgrade auf einen unterstützten Zweig zu bevorzugen.
- Prüfen, ob das WebGUI aus dem WAN oder aus unsicheren Netzen erreichbar ist, und den Zugriff auf Management-Netze beschränken.
- Out-of-Band-Administrationszugang bereithalten, falls gefälschte Sperren Management-Adressen blockieren.
- Die Tabelle sshlockout und die Authentifizierungslogs auf unerwartete Einträge prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2v2x-m4j7-76pv github.com
- Fix commit 8bdaad9 github.com
- Fix commit c930ab5 github.com
- OSV CVE-2026-63442 osv.dev
- OPNsense 26.1 release notes docs.opnsense.org
- endoflife.date OPNsense endoflife.date
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.